Formation RGPD : trouver un formateur en protection des données

‍

Une question d'un client sur le traitement de ses données, un nouvel outil de gestion des candidatures, le départ de la personne qui suivait le registre : la décision de former se prend vite. Vient ensuite la question pratique, à qui confier la session. Sur le sauvetage secourisme du travail ou l'habilitation électrique, le premier filtre est réglementaire, et il élimine d'emblée une partie des propositions. Sur le RGPD, ce filtre n'existe pas.

C'est ce qui rend ce sourcing particulier. Personne n'a besoin d'une autorisation pour se présenter comme formateur RGPD, et les propositions reçues se ressemblent beaucoup sur le papier. Le tri se fait donc sur des repères vérifiables, pas sur une habilitation que personne ne peut produire.

En bref

Aucune habilitation n'est exigée pour animer une formation RGPD, et la CNIL ne certifie pas les formateurs. Deux repères existent pourtant et se contrôlent en quelques minutes : la certification des compétences du délégué à la protection des données, délivrée par des organismes agréés par la CNIL et valable trois ans, et l'enregistrement de la certification visée au RNCP ou au répertoire spécifique de France Compétences, dont l'état et la date d'échéance sont publics. Commencez par trancher le public visé, futur délégué à la protection des données, équipes métier ou direction, puis demandez des preuves plutôt que des références.

‍

Faut-il former ses équipes au RGPD, et sur quelle base ?

Aucun texte n'impose de former l'ensemble des salariés. L'obligation est ailleurs, et elle est plus diffuse. L'article 39 du règlement européen place parmi les missions du délégué à la protection des données le contrôle du respect du règlement, y compris, dans les termes du texte publié par la CNIL, « la sensibilisation et la formation du personnel participant aux opérations de traitement ». La formation n'est donc pas une option laissée à l'appréciation de chacun : elle fait partie de ce qu'un délégué doit organiser et pouvoir montrer.

Du côté de la sécurité, Cybermalveillance.gouv.fr recommande d'organiser « au moins une fois par an des formations à la sécurité des données », en prévoyant un moment de questions et réponses, et met à disposition un kit de sensibilisation dont le contenu est sous licence ouverte, donc réutilisable par l'entreprise. Un rythme annuel, des arrivées à intégrer, des outils qui changent : le besoin est récurrent plutôt que ponctuel, ce qui pèse sur le choix de l'intervenant.

‍

‍

Qui peut animer une formation RGPD en entreprise ?

Toute personne qui s'en estime capable. Il n'existe pas, pour le RGPD, d'équivalent de l'habilitation exigée sur d'autres sujets de prévention : ni agrément d'organisme, ni certificat de formateur obligatoire.

La confusion vient souvent de la certification CNIL, mise en avant dans beaucoup de propositions. Elle existe, mais elle ne dit pas ce qu'on croit. La CNIL indique sur sa page consacrée à la certification des compétences du délégué à la protection des données qu'elle « ne délivre pas elle-même de certification de délégué à la protection des données » : ce sont des organismes certificateurs agréés par elle, et accrédités par le Cofrac, qui la délivrent. Il s'agit d'un mécanisme volontaire, portant sur dix-sept compétences et savoir-faire, et « la certification n'est pas obligatoire pour exercer les fonctions de délégué à la protection des données ».

Autrement dit, un formateur certifié a fait mesurer son niveau sur un référentiel public. C'est un élément utile, pas un droit d'animer, et son absence ne disqualifie pas un intervenant expérimenté. L'inverse est vrai aussi : la mention « certifié CNIL » sur une plaquette ne remplace pas un justificatif.

Comment vérifier le niveau réel d'un formateur RGPD ?

En demandant trois choses précises, qui se contrôlent sans expertise juridique.

• La certification des compétences du DPO, si elle est revendiquée. La CNIL précise les conditions d'accès : au moins deux ans d'expérience professionnelle sur des projets liés aux missions du délégué, ou « d'une expérience professionnelle d'au moins 2 ans ainsi que d'une formation d'au moins 35 heures » en protection des données. L'épreuve est un questionnaire d'au moins cent questions, dont 30 % de cas pratiques, réussi à partir de 75 % de bonnes réponses. Le référentiel de certification est fixé par la délibération n° 2018-318 du 20 septembre 2018, celui d'agrément des organismes par la délibération n° 2018-317 du même jour. Demandez l'attestation et sa date : « la certification est valable 3 ans à compter de sa délivrance ».
• La fiche France Compétences de la certification préparée, si la formation est présentée comme certifiante. Demandez le code et ouvrez la fiche. Un exemple de fiche active : RNCP41460 « Délégué à la protection des données (DPO) », de niveau 7, enregistrée le 27 octobre 2025 avec une échéance au 27 octobre 2028. Ce contrôle n'est pas théorique : plusieurs fiches du répertoire spécifique consacrées au même métier sont inactives, comme RS6229, dont l'enregistrement a expiré le 25 janvier 2025.
• La pratique, et pas seulement la doctrine. Demandez à l'intervenant comment il traite, en session, un registre des traitements, une analyse d'impact ou une demande d'accès d'un salarié. Un formateur qui n'a jamais tenu ces documents se reconnaît à la généralité de ses réponses.

Les points de vérification plus généraux sur un intervenant sont détaillés dans notre article sur le contrôle du niveau réel d'un formateur.

Formation DPO ou sensibilisation des équipes : que faut-il acheter ?

Cela dépend du public, et c'est la question à trancher avant de consulter. Trois besoins circulent souvent sous le même intitulé « formation RGPD », et ils n'appellent ni les mêmes intervenants ni les mêmes durées.

• Professionnaliser un délégué ou un référent. C'est le parcours long, éventuellement certifiant. Il concerne d'abord les organisations pour lesquelles la désignation est obligatoire. La CNIL cite trois cas : les autorités et organismes publics ; les organismes dont les activités de base impliquent un suivi régulier et systématique des personnes à grande échelle ; ceux qui traitent à grande échelle des données dites sensibles ou relatives à des condamnations pénales et infractions. Ailleurs, la désignation est encouragée par la CNIL sans être imposée.
• Sensibiliser les équipes qui manipulent des données. Ressources humaines, commerce, marketing, informatique : le besoin est court, fréquent, et utile seulement s'il part des traitements réels de l'entreprise.
• Informer la direction. Répartition des responsabilités, arbitrages, conséquences d'une violation de données. Format bref, public restreint, souvent un autre intervenant que celui des sessions métier.

Mélanger ces trois publics dans une seule session est la première cause de déception sur ce sujet : le contenu devient trop juridique pour les uns et trop superficiel pour les autres.

Quels critères comparer une fois le périmètre fixé ?

Une fois le public et le niveau arrêtés, la comparaison redevient celle de n'importe quel prestataire, avec quelques points propres au RGPD.

• Le travail sur vos traitements. Demandez ce que l'intervenant attend de vous en amont : registre, liste d'outils, exemples de formulaires. Une proposition qui ne demande rien livrera une formation générique.
• L'actualisation du contenu. Doctrine de la CNIL, jurisprudence, nouvelles recommandations : demandez la date de dernière mise à jour du programme et ce qui a changé.
• L'articulation avec la sécurité informatique. Les deux sujets se recoupent sans se confondre. Si le besoin porte aussi sur les usages numériques, voir notre article sur le sourcing d'un formateur en cybersécurité.
• Les modalités et la traçabilité. Présentiel, distanciel, module en ligne pour le plus grand nombre et atelier pour les équipes exposées. Vérifiez ce qui vous reste après la session : attestations, émargements, support. C'est ce qui permet de montrer que la sensibilisation a eu lieu.
• La stabilité de l'intervenant. Sur un dispositif annuel, garder le même formateur évite de reprendre le contexte à zéro chaque année.

Pour que les propositions reçues soient comparables sur ces points, le plus efficace reste de les poser dès le départ dans un brief. Notre méthode pour rédiger un brief qui rend les propositions comparables s'applique directement.

Comment Activateur Formation intervient sur ce type de besoin ?

Nous recherchons et comparons les prestataires ; nous ne formons pas. Activateur Formation n'est pas un organisme de formation et n'a aucun catalogue à écouler.

Sur une demande de formation RGPD, nous partons de votre besoin, du public visé et du niveau attendu, recherchons des intervenants qui travaillent réellement sur ce sujet, et ramenons trois à quatre propositions à une base commune : périmètre, durée, modalités, livrables, prix. Nous vous invitons à contrôler vous-même les justificatifs de certification et les fiches France Compétences : c'est vous qui engagez l'entreprise. Le service est gratuit pour l'entreprise ; la commission est versée par le partenaire retenu, au même taux quel que soit le partenaire, et c'est vous qui tranchez. Le détail figure dans notre méthode, et le cadre général du sourcing sur notre page sourcing de formateurs.

Questions fréquentes

La formation RGPD est-elle obligatoire en entreprise ?

Aucun texte n'impose de former tous les salariés. L'article 39 du RGPD place en revanche la sensibilisation et la formation du personnel participant aux opérations de traitement parmi les missions du délégué à la protection des données, et Cybermalveillance.gouv.fr recommande d'organiser au moins une fois par an des formations à la sécurité des données.

Faut-il être certifié par la CNIL pour animer une formation RGPD ?

Non. La CNIL précise qu'elle ne délivre pas elle-même de certification de délégué à la protection des données et que cette certification n'est pas obligatoire pour exercer les fonctions de DPO. Aucune habilitation n'encadre l'animation d'une formation RGPD.

Combien de temps la certification des compétences du DPO est-elle valable ?

Trois ans à compter de sa délivrance, selon la CNIL. Le renouvellement suppose une nouvelle épreuve écrite et au moins un an d'expérience professionnelle en lien avec les missions du délégué.

Dans quels cas la désignation d'un DPO est-elle obligatoire ?

La CNIL cite trois cas : les autorités et organismes publics ; les organismes dont les activités de base impliquent un suivi régulier et systématique des personnes à grande échelle ; ceux qui traitent à grande échelle des données sensibles ou relatives à des condamnations pénales et infractions. Dans les autres cas, la désignation est encouragée par la CNIL.

Comment vérifier qu'une certification RGPD est bien enregistrée ?

Demandez le code RNCP ou RS et ouvrez la fiche sur le site de France Compétences : elle indique l'état de la certification, le certificateur et la date d'échéance de l'enregistrement. Plusieurs fiches consacrées au DPO sont inactives, leur échéance étant dépassée.

‍

Pour un besoin voisin sur les usages numériques des équipes, voir aussi notre article sur la recherche d'un formateur en cybersécurité.

‍

Publié le 12 novembre 2026.